Zyhsec

Nome do Software Vulnerável e Versões Afetadas JavaMall versões anteriores à versão 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0 Descrição Existe uma falha no JavaMall que permite uploads de arquivos sem restrições. Esta vulnerabilidade afeta a função `Upload` no arquivo `src/main/java/com/macro/mall/controller/MinioController.java`. O ataque pode ser iniciado remotamente. O fornecedor foi contatado sobre esta divulgação, mas não respondeu. Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do JavaMall anteriores a 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0 **Descrição** Existe uma vulnerabilidade de path traversal devido à manipulação do argumento `objectName` dentro da função `delete` localizada no arquivo src/main/java/com/macro/mall/controller/MinioController.java. Isso permite exploração remota. O produto utiliza entrega contínua com lançamentos contínuos (rolling releases), tornando indisponíveis detalhes específicos de versão para lançamentos afetados e atualizados. O fornecedor foi contatado em relação a esta divulgação, mas não respondeu. **Recomendações** Versões anteriores a 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0 devem ser atualizadas. Como medida de contorno temporária, restrinja o acesso à função `delete` no arquivo `MinioController.java` até que uma correção esteja disponível. Evite utilizar entrada não confiável ou fornecida pelo usuário para o parâmetro `objectName` no endpoint da API afetado.

**Nome do Software Vulnerável e Versões Afetadas** newbee-mall-plus versão 2.0.0 **Descrição** Existe uma falha no newbee-mall-plus versão 2.0.0 que permite upload de arquivos sem restrições. Este problema está localizado na função `Upload` do arquivo `src/main/java/ltd/newbee/mall/controller/common/UploadController.java`, afetando especificamente o componente da Página de Edição de Informações do Produto. A vulnerabilidade é acionada pela manipulação do argumento `File`, permitindo que atacantes remotos façam upload de arquivos sem restrições. Os detalhes deste problema foram divulgados publicamente. O fornecedor foi informado sobre esta divulgação, mas não forneceu uma resposta. **Recomendações** Aplique uma correção à função `Upload` em `src/main/java/ltd/newbee/mall/controller/common/UploadController.java` para restringir tipos e tamanhos de upload de arquivos.

**Nome do Software Vulnerável e Versões Afetadas** rawchen ecms (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de Cross-Site Scripting no rawchen ecms. A função `updateProductServlet` dentro do arquivo `src/servlet/product/updateProductServlet.java`, especificamente relacionada ao componente da Página de Adicionar Novo Produto, é suscetível à exploração através da manipulação do argumento `productName`. Isso permite exploração remota e o exploit foi divulgado publicamente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** h-moses moga-mall versões anteriores a 392d631a5ef15962a9bddeeb9f1269b9085473fa **Descrição** Existe uma vulnerabilidade no h-moses moga-mall. O problema afeta a função `addProduct` dentro do arquivo src/main/java/com/ms/product/controller/PmsProductController.java, permitindo upload de arquivos sem restrições através da manipulação do argumento `objectName`. Este ataque pode ser realizado remotamente. O produto utiliza um sistema de lançamento contínuo, e as informações de versão para releases afetados ou atualizados não são divulgadas. **Recomendações** Versões anteriores a 392d631a5ef15962a9bddeeb9f1269b9085473fa devem ser atualizadas. Como medida de contorno temporária, considere restringir o acesso à função `addProduct` até que uma atualização adequada esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** versões do yougou-mall anteriores a 0a771fa817c924efe52c8fe0a9a6658eee675f9f **Descrição** Existe um problema de path traversal na função `Upload` no arquivo src/main/java/per/ccm/ygmall/extra/controller/ResourceController.java. O software utiliza um modelo de lançamento contínuo (rolling release), o que significa entrega contínua e ausência de detalhes específicos de versão para lançamentos afetados ou atualizados. A manipulação do sistema pode resultar em path traversal. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.